前几天,卡巴斯基又封锁了一批Key。我的也列入了黑名单。凭以往的经验,新的可用的Key要过几天才能出来。于是乎,我就等着。过了两天,网上还是没有公布新的key。问了一下宿舍的其他人,他们找到了新的可用Key。他们用的是KIS8.0,而我用的是KIS7.0。
嗯,趁此机会升级一下也不错。于是从官网上下载了KIS8.0,安装时提示不对Win2K提供技术支持了。wk!不支持就不支持吧,反正我也不找你们咨询什么技术问题,能给我升级病毒库就行了。继续安装。
安装完后重启机器。wk!explorer.exe起不来了。接着重启机器。恩,这次启动了。不错,还升级了病毒库。嗯?有个安全警告。一看,发现好几个模块没启动,手动启动也不行。这才恍然大悟,原来所谓的不对win2k提供技术支持是指的这啊。我宁可等几天也不要用这种阉割过的东西。卸载,重新装KIS7.0。安装完后要重启机器,我正忙着,没理它。后来它还自动更新了病毒库。
一夜无话。第二天,打开电脑,发现启动如此迅速哈,正当高兴,发现卡巴没启动起来。手动运行卡巴,没反应,偶尔有个黑色窗口一闪而过,只是进程列表里多了个svchost.exe;去服务里看看,发现卡巴的服务是自动启动的,但没启动起来,手动启动,报“错误 1053:服务没有及时响应启动或控制请求”。郁闷了。重新安装,问题依旧。
在网上搜了一上午,没有任何结果。正当灰心丧气地要换个软件用,却发现了一个大大说可能是中了“映像劫持”,并给出了一个链接,名为“揭密:映像劫持病毒的原理及预防”(http://www.enet.com.cn/article/2007/0730/A20070730748656.shtml)。看了看,嗯,症状很符合。一看注册表“HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options”,果然多了一项“avp.exe”,键“Debuger”的值为“svchost.exe”。哈!终于找到原因了!直接删掉此项,检查了一下,发现有一项“Thunder.exe”也有同样问题,一并删除。
运行卡巴,成功启动!
现在的问题是,我中了病毒?注册表怎么会被修改?现在还没法儿下结论,等我全盘扫描一遍再说吧。
那篇文章“揭密:映像劫持病毒的原理及预防”我也转到我的Blog理了。在此处(http://www.cnblogs.com/soli/archive/2008/10/19/1314510.html)。